Inden du begynder
Noter adresser, porte og protokoller, og fastlæg administrator for begge ender. Bekræft rettigheder til præfikser og kilder. Gem regler, adgang og tidligere veje; planlæg ændringer med operatøren, og forbered sikker tilbageførsel til den fungerende tilstand.
Proxyen skal passe til protokollen
HTTP reverse proxy behandler konfigureret HTTP, ikke automatisk UDP for ethvert spil. NGINX stream kan videresende TCP eller UDP med passende opsætning; det er ikke applikationsfiltrering af HTTP. Kontroller modul, porte, timeout og offentlige adresser. En tilgængelig side eller TCP-forbindelse beviser ikke spilvejen, filer og returtrafik. Afprøv hver del med korrekt protokol og faktisk klient, ikke kun et enkelt generelt ping.
GRE tilføjer indkapsling
GRE sender pakker i en ekstra netværksindpakning. Over IPv4 bruger det IP-protokol 47, ikke TCP-port 47. Det giver ikke alene kryptering eller autentifikation af den anden ende. Bekræft tilladte ender, filtre og veje på begge sider. Tilfældig åbning af en TCP-port skaber ikke en tunnel eller beskyttelse. Kontroller værtens muligheder og tilladelse til netværksregler; hold tunneladministration adskilt fra det offentlige spil.
BGP annoncerer godkendte præfikser
BGP udveksler routingoplysninger, men filtrerer ikke alene alle applikationer. Rettigheder til præfikser, relation til operatøren og aftalte politikker er nødvendige. En tildelt VPS-IP giver ikke ret til at annoncere hele blokken eller egen BGP-session. Afklar ansvar og beskyttet transits omfang før ændring. Test ikke andres præfikser, og antag ikke eget autonomt system ud fra tjenestens navn eller administratoradgang til en virtuel maskine.
Bevar returvej og kildeadresser
Videresendelse omfatter begge retninger, forbindelsestilstand og adresser, som applikationen ser. Asymmetri kan forstyrre tilstandsbaserede filtre. Dokumenter tilladte kilder, administration og helbredskontroller før begrænsning. Bred tillid tillader omgåelse, snævre regler blokerer kunder. Test adgang, svar og lange forbindelser med mulighed for oprindelige regler. Offentligt IP-skift afgør ikke alene korrekt returvej eller alle nødvendige kilder og administrative kontroller, der skal fortsætte med at virke.
Kontroller MTU og store pakker
Indkapsling reducerer pladsen til den oprindelige pakke. En lille test kan virke, mens en stor overførsel fejler. Kontroller vejens MTU, fragmentering og nødvendige fejlbeskeder. TCP MSS løser ikke alle UDP-problemer alene. Kopier ikke værdien fra en andens eksempel: brug virkelig vej, tunnel og målinger, og test derefter filer og spil. Bevar tidligere værdier til sammenligning og gendannelse efter et mislykket resultat, frem for tilfældige gentagne ændringer.
Test én ændring ad gangen
Gem plan og normale resultater før aktivering. Under varslet vedligeholdelse skal du kontrollere administration, HTTP, TCP, UDP og tilladte kilder. Ping tester ikke hele programmet. Timeout er ikke automatisk et angreb. Giv operatøren tidspunkt og protokol, og brug godkendte test. Intensiv trafik uden aftale må ikke ramme andre tjenester eller kunder. Efter ændring skal du kontrollere faktiske brugere og forberedt tilbageførsel, ikke kun et diagnostisk svar.
Hvad gør du i din situation?
| Situation | Næste skridt |
|---|---|
| Kun en webtjeneste | Vurder HTTP proxy, tilladte kilder og applikationsindstillinger. |
| UDP-spil på ekstern server | Bekræft videresendelse eller tunnel, returvej og MTU. |
| Godkendt netværkspræfiks | Aftal BGP og beskyttet transit med operatøren. En tildelt VPS-IP er ikke nok. |
Officielle kilder
Kilderne beskriver protokoller og indstillinger. Kontroller dokumentationen for den version, du bruger.